Корпоративний
Огляд
Зазвичай ваш сайт завантажує віджет Asyntai з єдиної URL-адреси, тому щойно ми випускаємо оновлення, усі отримують його під час наступного завантаження сторінки. Саме цього хочуть більшість клієнтів. Але якщо ви керуєте регульованим сайтом і не можете допустити, щоб сторонній код змінювався на ваших продакшн-сторінках без перевірки, ви можете натомість прив’язати свою інтеграцію до конкретної версії. Віджет заморожується точно в тому вигляді, у якому він був на момент закріплення, а ваш вбудований код містить хеш цілісності, щоб браузер сам перевіряв файл.
Як це працює
- Ви вмикаєте закріплення - ми робимо знімок поточного віджета в приватну заморожену копію лише для вашого сайту
- Ви отримуєте вбудований код із перевіркою цілісності - готовий до вставлення тег скрипта з хешем Subresource Integrity та URL-адресою конкретної версії
- Наші розгортання перестають досягати вашого сайту - заморожена копія не змінюється, тому ніщо з того, що ми випускаємо, не змінює ваш продакшн-код
- Ви оновлюєте, коли самі вирішите - одне натискання робить знімок останньої версії та видає новий хеш; ви вставляєте новий фрагмент, коли будете готові
Ми розгортаємо оновлення Ігнорується
Ваш сайт продовжує працювати Закріплена версія
Що таке хеш Subresource Integrity?
Це функція безпеки браузера. Ваш тег скрипта містить атрибут integrity із хешем точного файлу. Перед запуском файлу браузер хешує те, що завантажив, і порівнює. Якщо відрізняється хоча б один байт — через підміну файлу або компрометацію мережі — браузер відмовиться його запускати. Це стандартний захист від атаки на ланцюг постачання для сторонніх скриптів.
Що охоплює хеш
Хеш цілісності перевіряє файл коду віджета. Актуальні дані, які віджет потім завантажує — ваші налаштування, товари та повідомлення — передаються окремими захищеними з’єднаннями і не входять до хешу. Це нормально: хеш захищає код, а саме на нього націлена атака на ланцюг постачання.
Як увімкнути
- Відкрийте сторінку закріплення версії віджета на панелі керування
- Увімкніть його — ваш заморожений фрагмент з’явиться негайно
- Замініть поточний тег скрипта Asyntai на закріплений, включно з атрибутами integrity та crossorigin точно так, як показано
Прийняття оновлення
Коли ми випускаємо нову версію, ваша панель керування показує, що доступне оновлення. Ви переглядаєте його, натискаєте «Оновити», щоб зробити знімок останньої версії, і вставляєте новий фрагмент на свій сайт. Оскільки хеш цілісності змінюється разом із кодом, оновлення завжди означає заміну тега скрипта — це зроблено навмисно і саме це зберігає чесність перевірки.
Корисно знати
- Нічого не змінюється без вас - закріплений сайт не зазнає впливу наших розгортань, доки ви не приймете оновлення
- Ви можете пропустити покращення та виправлення - закріплення означає, що нові функції та виправлення помилок не дійдуть до вас, доки ви не оновитеся
- Ми повідомимо вас про оновлення безпеки - оскільки закріплені віджети не оновлюються автоматично, ми зв’яжемося з вами, якщо вашій закріпленій версії знадобиться виправлення безпеки
- Атрибут crossorigin є обов’язковим - Subresource Integrity працює лише тоді, коли тег скрипта містить атрибут crossorigin; збережіть його точно так, як показано
- Вимкнення - повертає вас до завжди актуального вбудованого коду; замініть закріплений тег скрипта на стандартний
Примітка: Закріплення версії віджета є частиною корпоративної угоди. Напишіть на [email protected], і ми все вам розповімо.